Part 039 — Certificate and Private CA Management

Certificate management terlihat sederhana sampai production outage terjadi karena satu sertifikat expired, private key bocor, chain salah, CA tidak dipercaya, atau revocation tidak bekerja.

Di sistem modern, certificate bukan sekadar file .crt.

Certificate adalah kontrak identitas kriptografis.

Ia menjawab:

Endpoint ini siapa?
Siapa yang menyatakan identitas itu valid?
Apakah private key-nya masih dipercaya?
Apakah certificate masih dalam masa berlaku?
Apakah certificate sudah dicabut?
Client mana yang mempercayai issuing CA?
Service AWS mana yang memakai certificate ini?
Siapa yang bertanggung jawab memperbaruinya sebelum expiry?

Dalam AWS, certificate lifecycle biasanya melibatkan:

• AWS Certificate Manager / ACM untuk public dan private TLS certificate yang dipakai oleh AWS-integrated services.
• AWS Private CA untuk membangun private certificate authority.
• Route 53 / DNS provider untuk domain validation.
• Elastic Load Balancing, CloudFront, API Gateway, App Runner, Cognito, atau service lain sebagai consumer certificate.
• CloudTrail, EventBridge, AWS Config, CloudWatch, Security Hub, dan inventory system sebagai control plane observability.

Tujuan part ini: membangun certificate management sebagai lifecycle system, bukan sebagai task manual.

1. Mental Model: Certificate Is Identity, Not Encryption Alone

TLS sering dijelaskan sebagai encryption. Itu benar, tetapi tidak lengkap.

TLS server certificate melakukan tiga hal utama:

Jadi certificate outage bukan hanya masalah crypto. Ia bisa menjadi:

• availability incident karena client menolak koneksi;
• security incident karena private key compromise;
• compliance incident karena certificate tidak sesuai policy;
• governance incident karena tidak ada owner, inventory, atau expiry alert;
• architecture incident karena trust boundary salah.

Prinsip penting:

Certificate adalah identitas runtime.
Private key adalah authority untuk menggunakan identitas itu.
CA adalah authority untuk menerbitkan identitas itu.

Kalau private key bocor, attacker bisa menyamar sebagai endpoint. Kalau CA disalahgunakan, attacker bisa menerbitkan identitas palsu. Kalau certificate expired, endpoint sah pun dianggap tidak valid.

2. Certificate Anatomy yang Harus Dipahami Engineer

Minimal field yang penting secara operasional:

Mental model chain:

Root CA adalah trust anchor. Jangan sering dipakai untuk issue leaf certificate. Pola production yang lebih aman adalah root CA menandatangani subordinate/issuing CA, lalu issuing CA menerbitkan leaf certificate.

3. AWS Building Blocks

ACM sebaiknya menjadi default untuk certificate yang dipakai service AWS terintegrasi. Jangan mengelola private key sendiri jika tidak ada kebutuhan kuat.

4. Decision Table: Public, Imported, atau Private CA?

Gunakan table ini sebagai starting point.

Rule praktis:

Jika certificate dipakai oleh AWS managed edge/service, default ke ACM.
Jika trust domain internal dan Anda butuh private identity issuance, gunakan AWS Private CA.
Jika private key harus keluar dari managed boundary, perlakukan sebagai exception berisiko tinggi.

5. ACM Public Certificate Lifecycle

Lifecycle production:

Important invariants:

1. DNS validation records are production assets. Jangan hapus CNAME validation hanya karena certificate sudah issued.
2. Certificate must be attached to a supported AWS service agar lifecycle-nya relevan dan renewal otomatis bisa berjalan sesuai kondisi ACM.
3. Certificate expiry alert harus independen dari managed renewal. Managed renewal mengurangi toil, bukan mengganti monitoring.
4. Domain ownership harus jelas. Certificate untuk *.example.com adalah authority besar, bukan sekadar convenience.
5. Wildcard certificate memperbesar blast radius. Gunakan ketika operational benefit lebih besar daripada risiko.

ACM public certificate dengan DNS validation dapat otomatis diperbarui selama syarat renewal terpenuhi. Tetapi kalau DNS validation record hilang, domain tidak resolve, certificate tidak lagi digunakan oleh service, atau domain ownership berubah, renewal bisa gagal.

6. Certificate Ownership Model

Sertifikat tanpa owner adalah bom waktu.

Setiap certificate harus punya metadata:

Untuk AWS, sebagian metadata bisa berasal dari tags dan ACM APIs. Untuk imported/non-AWS certificates, Anda perlu inventory eksternal atau CMDB.

Tag minimal:

Owner: platform-edge
Environment: prod
Service: payment-api
CertificatePurpose: public-tls
RenewalMode: acm-managed-dns
Criticality: tier-1
DataClassification: public-endpoint
ExceptionId: none

7. Expiry Monitoring Pattern

Jangan hanya mengandalkan email expiry notification.

Production pattern:

Minimum alarm thresholds:

Untuk public endpoint tier-1, Anda boleh memakai threshold lebih agresif.

Important: expiry monitoring harus mencakup:

• ACM certificates;
• imported certificates;
• certificates di load balancer;
• CloudFront certificates;
• API Gateway custom domain certificates;
• private certificates;
• certificate chain/intermediate expiry;
• external partner certificates;
• mTLS client CA bundles.

Sering terjadi leaf certificate masih valid, tetapi intermediate/root chain bermasalah di client tertentu.

8. AWS Private CA Mental Model

AWS Private CA memberi managed CA capability. Tetapi ia tidak menghapus kebutuhan PKI design.

Anda tetap harus memutuskan:

Apakah AWS Private CA menjadi root CA atau subordinate CA?
Berapa CA hierarchy-nya?
Siapa boleh issue certificate?
Certificate template apa yang boleh digunakan?
Berapa validity leaf certificate?
Apakah revocation memakai CRL, OCSP, short-lived certificate, atau kombinasi?
Bagaimana audit issuance dilakukan?
Bagaimana CA dilindungi dari misuse?
Bagaimana CA didecommission?

Pola umum:

Root CA harus sangat jarang digunakan. Issuing CA dipakai untuk operational issuance. Jika satu issuing CA compromise, Anda bisa revoke/replace issuing CA tanpa mengganti seluruh trust anchor, tergantung trust model client.

9. Private CA Account Placement

Jangan asal menaruh CA di workload account.

Recommended operating pattern:

CA adalah security control plane. Jika workload team bisa mengubah CA policy tanpa review, mereka bisa menerbitkan identity yang lebih luas dari yang seharusnya.

10. Issuance Policy: Siapa Boleh Menerbitkan Apa?

Private CA harus punya issuance guardrail.

Contoh policy rule:

Platform automation boleh issue certificate untuk *.svc.prod.internal.example.com.
Team aplikasi tidak boleh issue wildcard certificate.
Non-prod CA tidak boleh issue certificate untuk domain prod.
Certificate validity maksimal 90 hari untuk service-to-service TLS.
Client certificate harus menyertakan OU/team identifier.
Certificate template harus dibatasi berdasarkan use case.

Authorization surface:

Anti-pattern:

Memberi broad IssueCertificate ke pipeline umum tanpa membatasi template, domain, environment, atau owner.

Itu sama seperti memberi kemampuan menerbitkan passport internal tanpa kontrol.

11. Revocation: CRL, OCSP, atau Short-Lived Certificates?

Revocation bukan checkbox. Ia harus sesuai client behavior.

Untuk AWS Private CA, revocation bisa dirancang dengan CRL dan/atau OCSP. Saat memakai CRL, AWS Private CA mempublikasikan CRL ke S3 bucket yang harus diberi policy agar service principal Private CA bisa menulis. Untuk OCSP, pastikan client memang melakukan OCSP checking dan endpoint reachable.

Prinsip:

Revocation hanya berguna jika relying party benar-benar memeriksanya.

Jika client tidak pernah cek CRL/OCSP, maka revocation hanya menjadi catatan administratif, bukan kontrol runtime.

12. Certificate Rotation Without Outage

Rotation aman membutuhkan overlap.

Checklist rotation:

• Certificate diterbitkan sebelum old certificate memasuki danger window.
• SAN sama atau sengaja berubah dengan migration plan.
• Chain lengkap dan dipercaya client.
• Certificate attached ke semua consumer.
• Synthetic check memvalidasi TLS handshake dari lokasi/client penting.
• Old certificate tidak lagi dipakai.
• Inventory update.
• Audit event tersimpan.

Jangan menghapus old certificate sebelum semua consumer berpindah.

13. Monitoring Certificate Runtime, Bukan Hanya Inventory

Inventory mengatakan certificate seharusnya valid. Runtime check membuktikan endpoint benar-benar menyajikan certificate yang valid.

Monitoring layer:

Untuk critical public endpoints, synthetic check harus berjalan dari luar VPC. Untuk private endpoints, jalankan dari network yang merepresentasikan client internal.

14. Certificate Incident Runbooks

14.1 Expired Public Certificate

Diagnosis:

Apakah certificate benar-benar expired di endpoint runtime?
Apakah ACM certificate expired atau endpoint masih menyajikan old cert?
Apakah DNS validation CNAME hilang?
Apakah certificate tidak lagi associated dengan service?
Apakah renewal gagal karena domain validation?
Apakah ada CloudFront/ALB propagation delay?

Response:

1. Validasi dari client perspective dengan openssl s_client atau synthetic tool.
2. Cek certificate ARN yang attached ke resource.
3. Cek ACM status dan renewal status.
4. Perbaiki DNS validation jika hilang.
5. Request/reissue certificate jika renewal tidak bisa menunggu.
6. Attach certificate baru ke consumer.
7. Jalankan synthetic test.
8. Tutup incident setelah semua path terverifikasi.
9. Tambahkan control agar CNAME validation tidak bisa dihapus tanpa review.

14.2 Private Key Compromise

Diagnosis:

Private key mana yang compromise?
Certificate mana yang terkait?
Apakah key pernah keluar dari managed boundary?
Endpoint mana yang menggunakan certificate itu?
Client mana yang mempercayai certificate/CA tersebut?
Apakah perlu revoke leaf certificate atau issuing CA?

Response:

1. Stop penggunaan certificate/key.
2. Issue certificate baru dengan key baru.
3. Rotate endpoint.
4. Revoke certificate lama jika revocation model efektif.
5. Investigasi log access ke secret/key material.
6. Review pipeline/log/build artifact untuk leakage.
7. Perbarui trust store jika CA/issuing CA terdampak.

14.3 Private CA Misuse

High-severity scenario:

Principal tidak sah menerbitkan certificate untuk nama domain internal yang sensitif.

Response:

1. Disable issuance permission untuk principal terkait.
2. Query CloudTrail IssueCertificate events.
3. Enumerasi certificate yang diterbitkan pada window risiko.
4. Revoke certificate yang tidak sah.
5. Rotate relying service jika ada impersonation risk.
6. Review CA policy, IAM permission, template, dan automation boundary.
7. Tambahkan detection untuk unexpected issuance pattern.

15. Detection Rules yang Harus Ada

Minimal detection:

Detection should route to owner, not only central security. Security can own policy; service teams own certificate consumption.

16. Governance Controls

Preventive Controls

• Restrict who can request/import/delete certificate.
• Restrict Private CA issuance to approved automation roles.
• Use SCP to block disabling audit/security services.
• Use permission boundaries for platform teams that create TLS resources.
• Require tags on certificate resources where supported.
• Protect DNS validation records with change management.
• Separate prod and non-prod CA hierarchy.

Detective Controls

• Certificate expiry scan.
• CloudTrail event detection.
• Config rules for certificate expiration.
• Synthetic TLS check.
• CA issuance report.
• Unexpected wildcard/SAN detection.

Corrective Controls

• Automated ticket creation.
• Renewal pipeline.
• Owner escalation.
• Emergency certificate issuance.
• Automatic detach/delete only after safe conditions.

Recovery Controls

• Break-glass DNS access.
• Emergency ACM certificate request path.
• Pre-approved CA administrator procedure.
• Rollback from certificate deployment.
• Documented client trust store update path.

17. Common Anti-Patterns

18. Production Reference Architecture

Key properties:

• CA authority is centralized and protected.
• Certificate consumption happens in workload accounts.
• DNS validation is managed as infrastructure.
• Expiry is monitored as a metric.
• Runtime TLS is validated independently.
• CloudTrail evidence is centralized.
• Incident paths exist before expiry happens.

19. Engineering Checklist

Use this as implementation checklist.

Inventory

• Semua certificate ACM terdaftar dengan owner.
• Imported/non-AWS certificate masuk inventory.
• Certificate consumer resource terhubung ke certificate ID.
• SAN, issuer, expiry, renewal mode, environment, dan criticality tersimpan.

Renewal

• ACM DNS validation record dipertahankan.
• Imported certificate punya renewal pipeline.
• Expiry thresholds 60/30/14/7 hari aktif.
• Synthetic TLS check memvalidasi endpoint runtime.

Private CA

• Prod dan non-prod CA dipisahkan.
• Root CA tidak dipakai untuk frequent issuance.
• IssueCertificate dibatasi ke automation roles.
• Certificate templates dibatasi.
• CRL/OCSP/short-lived strategy jelas.
• CloudTrail detection untuk issuance/revocation aktif.

Governance

• DNS validation record dilindungi dari perubahan tidak sah.
• Wildcard certificate butuh approval.
• Delete/import/request certificate event dimonitor.
• Runbook expiry, key compromise, dan CA misuse tersedia.

20. Mental Model Final

Certificate management yang matang bukan tentang membuat certificate.

Ia tentang menjaga invariant berikut:

Every runtime identity is issued by the right authority,
used only by the right service,
trusted only by the right clients,
rotated before expiry,
revocable when compromised,
auditable after every change,
and owned by a team that can respond.

Jika salah satu bagian hilang, certificate berubah dari security control menjadi outage trigger.

References

• AWS Certificate Manager User Guide — Managed renewal: https://docs.aws.amazon.com/acm/latest/userguide/managed-renewal.html
• AWS Certificate Manager User Guide — DNS validation and renewal: https://docs.aws.amazon.com/acm/latest/userguide/dns-validation.html
• AWS Private Certificate Authority User Guide — Create a private CA: https://docs.aws.amazon.com/privateca/latest/userguide/create-CA.html
• AWS Private Certificate Authority User Guide — Certificate revocation options: https://docs.aws.amazon.com/privateca/latest/userguide/revocation-setup.html
• AWS Private Certificate Authority User Guide — Set up a CRL: https://docs.aws.amazon.com/privateca/latest/userguide/crl-planning.html
• AWS Private Certificate Authority User Guide — Revoke a private certificate: https://docs.aws.amazon.com/privateca/latest/userguide/PcaRevokeCert.html
• AWS Well-Architected Framework — Data protection: https://docs.aws.amazon.com/wellarchitected/latest/framework/sec-dataprot.html